Application de restrictions matérielles sur la longueur et la complexité des codes PIN FIDO2

Question

Dans le cadre du renforcement de notre posture de sécurité pour atteindre les critères d'homologation gouvernementaux et militaires, notre organisation doit durcir les exigences liées à l'authentification sans mot de passe. Nous ciblons spécifiquement la configuration du code PIN local défini sur les clés de sécurité matérielles FIDO2 de nos collaborateurs. Nous exigeons une politique stricte imposant une longueur minimale de 8 caractères, un mélange alphanumérique, ainsi qu'un mécanisme empêchant les suites ou répétitions numériques simples.

Quelles sont les étapes de configuration exactes au sein des méthodes d'authentification de Microsoft Entra ID pour appliquer ces restrictions de complexité directement au niveau du micrologiciel des jetons matériels lors de leur enregistrement ou de leur modification ?

Answer 1

Bonjour,

J'espère que tu vas bien !

Puis-je connaître le dernier état de votre demande ?

J'espère que les **informations fournies vous seront **utiles ! Si c'est le cas. Ne vous laissez pas aller sur « Accepté » pour bénéficier à d'autres personnes dans la communauté qui ont la même question.

Answer 2

Bonjour,

Merci d'avoir posé votre question sur le forum Microsoft Windows !

D'après votre demande concernant l'application directe de restrictions strictes de code PIN au niveau matériel sur les clés de sécurité FIDO2 de vos employés. Il est essentiel de clarifier une frontière architecturale fondamentale au sein de l'écosystème FIDO2. Microsoft Entra ID ne peut pas injecter ou appliquer directement les règles de complexité PIN dans le firmware du jeton matériel lors de l'enregistrement.

Selon le protocole FIDO2 (WebAuthn/CTAP), le locataire Entra ID agit comme la partie bénéficiaire. Il peut obligatoirer l'utilisation d'un code PIN (Vérification utilisateur), mais l'évaluation locale de la longueur du code PIN, de la sélection des caractères et des règles de séquence se fait strictement entre le client hôte tel que Windows/macOS/navigateur et l'élément sécurisé de la clé de sécurité. L'ID Entra ne peut pas « dépasser » le client pour modifier les règles du firmware de l'appareil.

Malheureusement, il n'existe aucune étape de configuration dans les méthodes d'authentification Microsoft Entra ID pour écrire un minimum de 8 caractères, une exigence alphanumérique ou des règles anti-séquentielles/anti-répétition dans une clé de sécurité FIDO2 lors de l'enregistrement ou du changement de code PIN. Si votre organisation doit répondre aux exigences de certification gouvernementales ou militaires. En conséquence, les clés FIDO2 standard pour consommateurs se situent par défaut sur un minimum numérique de 4 ou 6 chiffres sans blocage de séquence. L'approche recommandée est la suivante :

• Acquérir des clés de sécurité matérielles dont le firmware applique la politique PIN requise, ainsi que des appareils avec un firmware qui bloque nativement les séquences simples et impose un minimum de 8 caractères.
• Restriction des enregistrements Entra aux modèles clés approuvés en utilisant les restrictions AAGUID et l'application de l'attestation. Pour plus d' informations https://learn.microsoft.com/en-us/entra/identity/authentication/concept-fido2-hardware-vendor
• reconnaître que Microsoft Entra ne peut actuellement pas imposer des exigences supplémentaires de complexité de PIN FIDO2 au jeton matériel lui-même.

Vous pouvez consulter les liens suivants pour plus de référence concernant votre requête.

• https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-authentication-passkeys-fido2
• https://learn.microsoft.com/en-us/windows/client-management/mdm/passportforwork-csp

J'espère que les informations ci-dessus vous seront **utiles **!